Importar: conectores y lo que traen

La documentación de OpenCTI distingue cinco tipos de conector, y el tipo dice hacia dónde se mueve el dato:

• EXTERNAL_IMPORT trae datos de una fuente externa, los convierte a paquetes STIX 2.1 y los importa.
• INTERNAL_ENRICHMENT toma un objeto que ya existe en la plataforma (recién creado o elegido por un analista), lo consulta en un servicio externo y devuelve lo que aprende sobre él.
• INTERNAL_IMPORT_FILE extrae información de archivos subidos, por ejemplo el PDF de un informe.
• INTERNAL_EXPORT_FILE saca datos de la plataforma a un formato de archivo, como CSV o JSON de STIX.
• STREAM escucha el flujo en vivo de la plataforma y lo reenvía a herramientas de terceros, como un SIEM.

Cada conector trabaja con un usuario propio y, si es de enriquecimiento o de archivos, con un alcance: los tipos de objeto o los formatos que acepta. Consulta SELECT * FROM conectores.

No todo conector llena la plataforma. Los de exportación y los de flujo hacen el camino inverso: sacan lo que hay dentro hacia otros sistemas. Saberlo importa al revisar quién puede ver qué: lo que sale por un flujo llega a un sistema que no aplica los marcados de la plataforma, salvo que alguien lo haya configurado así.

Lo que trae un conector depende de su fuente. Una lista de indicadores por suscripción trae miles de valores con poco o ningún vínculo: sirve para buscar, no para entender. Un informe leído por un conector de archivos puede traer pocos objetos, pero con la campaña, el conjunto de intrusión, las técnicas y las relaciones entre todos ellos. Una manera sencilla de verlo es dividir las relaciones creadas entre los objetos creados: cuanto más alto, más contexto trae cada objeto.

Consulta SELECT * FROM lotes y, si quieres ver la composición, objetos_por_lote.

Un conector de importación no sabe qué condiciones puso la fuente sobre lo que entrega: hay que decírselo. Si no se le configura un marcado por defecto, lo importado entra sin marcado, y entonces cualquiera con acceso a la plataforma lo ve y cualquier exportación o flujo lo saca sin freno. Es un defecto silencioso: nada falla, solo queda un dato sin la etiqueta que su fuente exigía.

Cruza el marcado aplicado en cada lote con la tabla acuerdos_de_fuente.